DSGVO

Die DS-GVO findet Anwendung auf die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie die nichtautomatisierte Verarbeitung von personenbezogenen Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen durch Unternehmen, Behörden und Vereine. Kurz gefasst bedeutet das: Wenn Sie personenbezogenen Daten (von natürlichen Personen) wie z.B. Personal-, Kunden- oder Marketingdaten verarbeiten, dann sollten Sie sich dringend mit der DS-GVO beschäftigen. Eine Ausnahme für kleine und mittlere Unternehmen gibt es - entgegen so manchem Irrglauben - dabei nicht.

Wenn Sie diese Frage mit einem klaren „JA“ beantworten können, ist dies schon die halbe Miete. Die DS-GVO bringt zwar einige Verschärfungen im Bereich der IT- und Datensicherheit, bei Betroffenenrechten wie Informationspflichten und Auskunftsrechten im Umgang mit ADV (Auftrags- Daten- Verarbeitung) durch Auftragsverarbeiter und Ihren Mitarbeitern. Wenn Sie aber wissen, wo etwas und was alles gespeichert wird, dann ist der organisatorische Aufwand erheblich geschmälert.

In den meisten Fällen ist die klare Antwort „NEIN“. Sofern Sie keine Behörde oder öffentliche Stelle sind und die umfangreiche, regelmäßige und systematische Verarbeitung von personenbezogenen Daten (z.B. Sozialversicherungsdaten) bzw. das Verarbeiten besonderer Kategorien von Daten (früher sensible Daten) keine Kerntätigkeit Ihres Unternehmens darstellt, ist die Benennung eines Datenschutzbeauftragten nicht verpflichtend.

Grundsätzlich fällt das Verarbeiten von Personaldaten unter die DS-GVO. Es sollte hier geprüft werden, auf welcher Grundlage die Daten jeweils verarbeiten werden (z.B. gesetzliche Verpflichtung, vertragliche Notwendigkeit, berechtigtes Interesse, ausdrückliche Einwilligung etc.). Diese Verarbeitung ist genau wie jede andere im Verarbeitungsverzeichnis anzuführen. Vorsicht ist bei der Verarbeitung von besonderen (sensiblen) Datenkategorien gegeben, darunter fallen z.B. die Religionszugehörigkeit oder die Gewerkschaftszugehörigkeit. Für die Verarbeitung von Daten dieser besonderen Kategorie benötigt man beispielsweise entweder eine ausdrückliche Einwilligung oder die Erfordernis zur Erfüllung gesetzlicher Pflichten. Wichtig ist auch, eine allenfalls bestehende Geheimhaltungsvereinbarung mit den Mitarbeitern auf DS-GVO Standard zu bringen, die Privatnutzung von E-Mail und Internet durch Mitarbeiter zu regeln oder Dienstverträge im Hinblick auf Kontrollmaßnahmen im Unternehmen zu aktualisieren.

Die zuständige Kammer in Österreich für Unternehmer die WKO bietet auf Ihrer Homepage Zusammenfassungen und Checklisten, auch der Verordnungstext selbst ist ohne Mühe über eine Suchmaschine im Internet zu finden. Muster zum Verarbeitungsverzeichnis oder für DS-GVO konforme Mitarbeitervereinbarungen finden Sie z.B. ebenfalls auf der WKO-Homepage. Sofern Sie hier Infos benötigen, kann Triolog diese gesammelt zur Verfügung stellen.

Fakt ist, dass die Verordnung mit 25.05.2018 anwendbar wird. Die Strafen bei schweren Datenschutzvergehen sind drastisch angehoben worden (Bis zu 20 Millionen Euro bzw. 4% des weltweiten Gesamtumsatzes) und auch zivilrechtliche Haftungen gegenüber Betroffenen sind möglich. Wir empfehlen Ihnen daher, sich auf jeden Fall mit der DS-GVO auseinander zu setzen, um das Risiko einer behördlichen Verfolgung auszuschließen und andererseits die damit einhergehenden Vorteile zu nutzen.